Adatkezelési tájékoztató — Vendégeknek

Ez a tájékoztató azt ismerteti, hogy a Guestify hűségkártya-szolgáltatás (a továbbiakban: Szolgáltatás) igénybevétele során hogyan kezeljük a hűségkártyáért regisztráló magánszemélyek (a továbbiakban: Vendég vagy Érintett) személyes adatait.

Az adatkezelés jogi kereteit az Európai Parlament és a Tanács (EU) 2016/679 rendelete (GDPR), az információs önrendelkezési jogról és az információszabadságról szóló 2011. évi CXII. törvény (Infotv.), valamint a gazdasági reklámtevékenység alapvető feltételeiről és egyes korlátairól szóló 2008. évi XLVIII. törvény (Grt.) rendelkezései adják.

A regisztráció megkezdése előtt kérjük, olvasd el figyelmesen a jelen tájékoztatót. A regisztrációs űrlapon található, kötelező jelölőnégyzet bejelölésével és a „Kártya igénylése” gombra kattintással kijelented, hogy a 18. életévedet betöltötted, elfogadod az Általános Szerződési Feltételeket, valamint a jelen tájékoztatót megismerted és tudomásul vetted. A marketing célú üzenetekhez való hozzájárulás ettől független, külön, nem kötelező jelölőnégyzettel adható meg (4.3. pont).

A Szolgáltatást kizárólag 18. életévüket betöltött személyek vehetik igénybe. 18 év alatti személyek adatait tudatosan nem kezeljük; ha tudomásunkra jut, hogy 18 év alatti személy regisztrált, a Hűségkártyát és a hozzá tartozó adatokat töröljük.

Adatkezelő: a Vendéget kiszolgáló Partner Vállalkozás (a hűségkártya kibocsátója — pl. étterem, kávézó, üzlet). A Partner Vállalkozás határozza meg az adott hűségprogram célját, feltételeit, a Vendégeknek küldött üzenetek tartalmát és a marketing tevékenységet, ezért a GDPR 4. cikk 7. pontja szerint ő minősül adatkezelőnek. A hűségprogramot nyújtó Partner Vállalkozás neve a regisztrációs oldalon és a Hűségkártyán is fel van tüntetve. A Vendég a Partner Vállalkozás pontos azonosító adatait (cégnév, székhely, elérhetőség) a regisztráció során kapott linket kibocsátó Partner Vállalkozás fizikai üzletében (székhelyén, telephelyén), illetve a lenti e-mail címen közvetlenül kérheti tőlünk.

Adatfeldolgozó (a Szolgáltatás üzemeltetője):

• Cégnév: Code Kitchen Kft. (a továbbiakban: Szolgáltató)
• Cégjegyzékszám: 15-09-091192
• Székhely: 4400 Nyíregyháza, Leffler Sámuel utca 65.
• Adószám: 32247783-2-15
• E-mail: hello@guestify.hu

A Szolgáltató a Vendég személyes adatait a Partner Vállalkozás megbízásából, adatfeldolgozóként kezeli (GDPR 28. cikk), a Partner Vállalkozással kötött adatfeldolgozói szerződés alapján. A Szolgáltató az adatokat kizárólag a Partner Vállalkozás által meghatározott célból és utasítás szerint kezeli; saját céljaira (így különösen saját marketing-, hirdetési vagy értékesítési célra) nem használja fel, a Vendégeknek saját nevében marketing üzenetet nem küld, az egyes Partner Vállalkozásoknál gyűjtött adatokat egymással nem kapcsolja össze, más Partnerekkel nem osztja meg, harmadik személynek nem továbbítja (kivéve a jelen tájékoztató 5. pontja szerinti adatfeldolgozókat, illetve jogszabályi kötelezettség esetén).

A Szolgáltató önálló adatkezelőként kizárólag az alábbi, Vendégtől független körben jár el:

• a Szolgáltatás biztonságának és rendelkezésre állásának naplózása (technikai naplók, visszaéléslógok) – személyes adatnak nem minősülő technikai adatok (IP-címet nem naplózunk),
• a Szolgáltatáshoz köthetően, saját nevében fennálló jogszabályi kötelezettségek alapján (pl. számvitel a Partner előfizetéséhez).

Érintetti jogok gyakorlása

A Vendég érintetti jogait (részletesen a 8. pontban) elsősorban a Partner Vállalkozásnál, mint adatkezelőnél gyakorolhatja. A Szolgáltatóhoz intézett megkereséseket a hello@guestify.hu címen fogadjuk; ilyen esetben a kérést indokolatlan késedelem nélkül továbbítjuk az illetékes Partner Vállalkozásnak, és annak utasítása szerint eljárunk.

A Partner Vállalkozás megbízásából az alábbi személyes adatokat kezeljük a regisztráció és a Szolgáltatás használata során:

• A Vendég által megadott adatok (regisztrációkor):
  • vezetéknév, keresztnév
  • e-mail cím
  • születési dátum (megadása opcionális, csak születésnapi kedvezmények, illetve életkorhoz kötött ajánlatok célzásához)
• A Szolgáltatás használata során automatikusan keletkező adatok:
  • a hűségkártya azonosítója, kibocsátási dátuma
  • a Partnernél összegyűjtött pecsétek, beváltott jutalmak, tranzakciók időbélyege
  • e-mail-kézbesítési és megnyitási/kattintási események, leiratkozási státusz
  • naplózási adatok (böngésző, eszköz típusa, hozzáférés ideje) – kizárólag üzemeltetési és biztonsági célból; IP-címet nem naplózunk

Az adatok forrása minden esetben maga az Érintett, illetve a Vendég Szolgáltatással kapcsolatos interakciói (pecsétgyűjtés, e-mail megnyitás stb.). Külső forrásból nem gazdagítjuk a profilt.

Az egyes adatkezelési tevékenységeket az alábbi felsorolás foglalja össze.

A személyes adatokhoz elsősorban a Partner Vállalkozás (adatkezelő) arra jogosult munkatársai férnek hozzá, feladatuk ellátásához szükséges mértékben. A Szolgáltató (adatfeldolgozó) az adatokhoz a Szolgáltatás technikai működtetése és karbantartása érdekében fér hozzá, a Partner Vállalkozással kötött adatfeldolgozói szerződés keretei között. A Szolgáltatás nyújtása során az alábbi további adatfeldolgozókat (al-adatfeldolgozókat) vesszük igénybe, amelyekhez a Partner Vállalkozás előzetes általános felhatalmazását adta:

• Tárhely / infrastruktúra: A Szolgáltatás nyújtásához szükséges technikai infrastruktúrát az Amazon Web Services EMEA SARL (Luxemburg) biztosítja, EGT régióban. A tárolt adatok az EGT-n belül maradnak. Saját szervert vagy adatközpontot nem üzemeltetünk. Adatkezelési tájékoztató: aws.amazon.com/privacy
• E-mail küldés: A Szolgáltatás nyújtása során a levelezés megvalósításához az Amazon Web Services EMEA SARL – Amazon SES (Simple Email Service) szolgáltatását vesszük igénybe, EGT régióban. Címzett: az Érintett e-mail címe, továbbá a küldés metaadatai. Adatkezelés: aws.amazon.com/privacy, AWS adatvédelmi kiegészítés
• Apple Wallet / Google Wallet: Apple Inc. és Google LLC — kizárólag akkor, ha a Vendég a Hűségkártyát hozzáadja a telefonja Wallet alkalmazásához (a kártya megjelenítéséhez szükséges adatok). Az adattovábbítás az EU–USA adatvédelmi keretrendszer (Data Privacy Framework), illetve általános adatvédelmi kikötések (SCC) alapján történik.
• Fizetési szolgáltató (a Partner előfizetéséhez): a Stripe Payments Europe, Ltd. felé a Vendégek fizetési adatait nem továbbítjuk, mivel a Vendégek nem fizetnek a Szolgáltatásért; a Stripe csak a Partner előfizetése kapcsán jár el. Adatkezelési tájékoztató: stripe.com/en-hu/privacy
• Számlázás (a Partner előfizetéséhez): a Billingo Zrt. szolgáltatásán keresztül történik, amelyhez Vendég adatokat nem továbbítunk. Adatkezelési tájékoztató: billingo.hu/adatkezelesi-tajekoztato

Adattovábbítás harmadik országba: Az Érintettek adatait elsősorban az Európai Unión (EU) és az Európai Gazdasági Térségen (EGT) belül kezeljük. Egyes szolgáltatók (pl. az Apple és a Google, illetve az e-mail szolgáltató anyavállalata) székhelye vagy leányvállalata EGT-n kívül (ún. harmadik országokban) lehet. A GDPR magas szintű követelményeket támaszt a személyes adatok harmadik országokba történő továbbítására vonatkozóan. Minden címzettnek meg kell felelnie ezeknek a követelményeknek. Mielőtt az Érintettek adatait harmadik országbeli címzettnek továbbítanánk, a címzettet először értékeljük az adatvédelmi szint szempontjából. Csak akkor választjuk ki őket, ha az EGT területén kívül is a GDPR-nak megfelelő adatvédelmi szintet tudnak igazolni. Az ilyen adattovábbításokat kizárólag a GDPR 44–49. cikkében meghatározott garanciákkal – így az Európai Bizottság megfelelőségi határozata vagy az általános adatvédelmi kikötések (SCC) – biztosítjuk.

A Szolgáltatás a működéshez feltétlenül szükséges (funkcionális) sütiket használ, például a bejelentkezés fenntartásához és a nyelvi preferencia megjegyzéséhez. Ezek jogalapja jogos érdek – GDPR 6. cikk (1) f) pont; hozzájárulás nem szükséges (Ekertv. 13/A. §).

Marketing- vagy elemzési célú, harmadik féltől származó sütiket a Vendég regisztrációs oldalain nem használunk. Amennyiben ez a jövőben változna, a Szolgáltatás cookie-bannert jelenít meg és külön hozzájárulást kér.

A sütikről külön Süti tájékoztató rendelkezik, amely a weboldalon elérhető.

Az Érintett személyes adatai megismerésére az Adatkezelő és a Szolgáltató, mint Adatfeldolgozó (illetve az al-adatfeldolgozók) a munkakörükbe tartozó feladatok teljesítéséhez szükséges mértékben jogosultak. A Guestify megtesz minden olyan biztonsági, technikai és szervezési intézkedést, amely az adatok biztonságát előmozdítja.

A Szolgáltató az informatikai rendszereihez a hozzáférést személyhez köthető jogosultsággal teszi lehetővé. A hozzáférések kiosztásánál érvényesül a „szükséges és elégséges jogok elve”, azaz a Szolgáltató informatikai rendszereit és szolgáltatásait minden felhasználó csak a feladatának ellátásához szükséges mértékben, az ennek megfelelő jogosultságokkal és a szükséges időtartamig használhatja. Az informatikai rendszerekhez és szolgáltatásokhoz hozzáférési jogot csak az a személy kaphat, aki rendelkezik az annak biztonságos használatához szükséges szakmai, üzleti és információbiztonsági ismeretekkel.

A Szolgáltató és az adatfeldolgozók munkatársait titoktartási kötelezettség terheli.

A Szolgáltató a személyes adatokat az Amazon Web Services (AWS) felhőszolgáltatásában, az Európai Gazdasági Térségen belüli adatközpontokban tárolja; saját fizikai szervert vagy adatközpontot nem üzemeltet. Az AWS infrastruktúrájának fizikai és hálózati biztonságáért az AWS felel, a Szolgáltató pedig az általa üzemeltetett rendszerek konfigurációjáért, a hozzáférések kezeléséért és az alkalmazásszintű védelemért. A személyes adatokhoz való hozzáférés személyhez kötött jogosultsággal és hitelesítéssel védett. A Szolgáltató a személyes adatok biztonságát rendszeresen felülvizsgálja és a védelmet folyamatosan fejleszti; rendszereit úgy alakítja ki, hogy a naplózás révén kontrollálhatók és nyomon követhetők legyenek a végzett műveletek, és észlelhetők legyenek az esetleges incidensek, például a jogosulatlan hozzáférés.

Az adatokat titkosított csatornán (TLS) továbbítjuk és titkosított formában tároljuk. A jelszavakat egyirányú kriptográfiai hash függvénnyel (bcrypt/argon2) tároljuk. Hozzáférési jogosultságokat a „legkisebb jogosultság” elve alapján osztunk ki, és rendszeres naplózást, biztonsági mentést, sebezhetőség-menedzsmentet végzünk.

Adatvédelmi incidens észlelése esetén a Szolgáltató az adatkezelő Partner Vállalkozást indokolatlan késedelem nélkül, legkésőbb 48 órán belül értesíti, és a GDPR 33–34. cikke szerinti eljárásban közreműködik.

Jogaidat elsősorban az adatkezelő Partner Vállalkozásnál gyakorolhatod. A kérések teljesítéséről a Partner Vállalkozás dönt; a Szolgáltató a kérések teljesítésében a Partner utasítása szerint, adatfeldolgozóként működik közre.

A GDPR értelmében az alábbi jogok illetnek meg:

• Hozzáféréshez való jog (GDPR 15. cikk): bármely elérhetőségünkön térítésmentesen tájékoztatást kérhetsz a rólad tárolt személyes adatokról és másolatot igényelhetsz (elektronikus formában). Ennek keretében az alábbiakról kaphatsz tájékoztatást:
  • személyes adataid kezelése folyamatban van-e;
  • az adatkezelés céljai;
  • a személyes adataid kategóriái;
  • azon címzettek vagy címzettek kategóriái, akikkel, illetve amelyekkel a személyes adatokat közölték vagy közölni fogják;
  • a személyes adatok tárolásának tervezett időtartama;
  • az érintetti jogaid;
  • jogorvoslati lehetőségeid;
  • az adatok forrására vonatkozó információ.
• Helyesbítéshez való jog (16. cikk): az elérhetőségeinkre nyújtott kérelemmel a pontatlan adataid helyesbítését kérheted.
• Törléshez való jog („az elfeledtetéshez való jog”, 17. cikk): kérheted az adataid törlését, ha a törvényi feltételek fennállnak (pl. már nincs szükség rájuk a célok teljesítéséhez, vagy visszavontad a hozzájárulást). Ha a törlés feltételei fennállnak, a személyes adataidat – a Partner Vállalkozás utasítása szerint – véglegesen töröljük a rendszerből.
• Az adatkezelés korlátozásához való jog (18. cikk). Kérheted a korlátozást amennyiben a) aggodalom merül fel az általunk, a rád vonatkozóan kezelt személyes adatok jogszerűsége tekintetében és az adatok törlése helyett kéred a korlátozást; b) a továbbiakban már nincs szükségünk az adott adatokra, de igényled azokat jogi igények előterjesztéséhez, érvényesítéséhez vagy védelméhez. Automatikusan korlátozzuk a személyes adatok kezelését abban az esetben, ha vitatod a személyes adatok pontosságát, illetve ha tiltakozási jogodat gyakorlod addig, amíg az adatok pontosságát ellenőrizni tudjuk, illetve amíg megállapítjuk, hogy van-e olyan kényszerítő körülmény, jogos indok, amelyek az adatkezelés folytatását teszik szükségessé. A korlátozás alatt csak tároljuk az adatokat, azokon adatkezelési műveletek nem végezhetők.
• Adathordozhatósághoz való jog (20. cikk): a hozzájárulás vagy szerződés alapján kezelt adataidat géppel olvasható formátumban megkaphatod. E jogosultság kizárólag a hozzájárulás alapján, vagy az adatkezelés jogalapját jelentő szerződés megkötése vagy teljesítése érdekében az általad a Guestify rendelkezésére bocsátott személyes adatokra korlátozódik. Egyéb adatok hordozhatóságára lehetőség nincs. Ez a joggyakorlás nem jár az adatok rendszereinkből automatikus törlésével. Az adataid géppel olvasható formátumban történő kiadását a Partner Vállalkozás a Szolgáltatás exportfunkciójával is teljesítheti.
• Tiltakozáshoz való jog (21. cikk): tiltakozhatsz a jogos érdeken alapuló adatkezelés (pl. profilalkotás) ellen; közvetlen üzletszerzés céljából történő adatkezelés ellen bármikor és feltétel nélkül tiltakozhatsz. Felhívjuk ugyanakkor a figyelmedet, hogy a Szolgáltató saját nevében gazdasági reklámot közvetlen megkeresés útján nem küld. A feliratkozásod esetén a marketing üzeneteket a Partner Vállalkozás nevében és megbízásából a Szolgáltató kampányküldő rendszere kézbesíti; az üzenetek tartalmáért és címzettjeiért a Partner felel, így ezen adatkezelésről részletesebben az adott Partnernél érdeklődhetsz. A személyes adataid marketing üzenetek küldése céljából történő kezeléséhez adott hozzájárulás visszavonása azonos következménnyel jár, mint a tiltakozáshoz való jog gyakorlása.
• Hozzájárulás visszavonásához való jog (7. cikk (3) bekezdés): a hozzájárulást bármikor, ingyenesen visszavonhatod; ez nem érinti a visszavonás előtti adatkezelés jogszerűségét. A marketing e-mailek végén található „Leiratkozás” link egyetlen kattintással érvényesítheted ezt. A hozzájárulás visszavonását követően marketing célú üzenetet nem küldünk, és a marketing célú adatkezelést megszüntetjük. A visszavonás a Hűségkártyát nem érinti: a kártya és a hozzá tartozó adatok a 4.1. pont szerint, a szerződés teljesítéséhez továbbra is kezelésre kerülnek.
• Automatizált döntéshozatal: kizárólag automatizált döntéshozatalt (GDPR 22. cikk) nem alkalmazunk. A viselkedési szegmentáció csak ajánlások célzására szolgál, joghatással járó vagy jelentős mértékben érintő döntést nem hoz.

Hogyan élhetsz a jogaiddal?

A kérelmet a hello@guestify.hu e-mail címen küldheted be. Ilyenkor a kérelmet továbbítjuk a Partner Vállalkozásnak, és utasítása szerint teljesítjük. A kérésre indokolatlan késedelem nélkül, de legkésőbb 1 hónapon belül válaszolunk (a GDPR szerint ez összetett vagy nagy számú kérés esetén további 2 hónappal meghosszabbítható). A válasz díjmentes, kivéve ha a kérelem nyilvánvalóan megalapozatlan vagy túlzó.

Amennyiben úgy ítéled meg, hogy a személyes adataid kezelése sérti a GDPR-t vagy a magyar jogszabályokat, panaszt tehetsz az illetékes felügyeleti hatóságnál:

• Név: Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH)
• Cím: 1055 Budapest, Falk Miksa utca 9-11.
• Levelezési cím: 1363 Budapest, Pf. 9.
• Telefon: +36 1 391 1400
• E-mail: ugyfelszolgalat@naih.hu
• Weboldal: www.naih.hu

Továbbá minden olyan személy, aki GDPR megsértésének eredményeképpen vagyoni, vagy nem vagyoni hátrányt szenvedett, az Adatkezelőtől (illetve esetlegesen az adatfeldolgozótól) kártérítésre jogosult. A bíróság az ügyben soron kívül jár el. A per elbírálása a törvényszék hatáskörébe tartozik. A per az érintett választása szerint a lakóhelye vagy tartózkodási helye szerinti törvényszék előtt is megindítható.

A Szolgáltató – az adatkezelő Partner Vállalkozások megbízásából – fenntartja a jogot a jelen tájékoztató módosítására. Lényeges változás esetén a Vendégeket a Szolgáltatáson belül vagy e-mailben értesítjük a hatálybalépést megelőzően, ésszerű időben. A mindenkor hatályos verzió a /privacy oldalon érhető el.

Adatvédelemmel kapcsolatos bármely kérdésben az alábbi elérhetőségeken fordulhatsz hozzánk:

• E-mail: hello@guestify.hu
• Postai úton: Code Kitchen Kft., 4400 Nyíregyháza, Leffler Sámuel utca 65.